MANRS (Mutually Agreed Norms for Routing Security)

Um acordo comunitário sobre higiene mínima de roteamento: filtre os anúncios dos seus clientes, impeça que tráfego com endereço de origem forjado saia da sua rede, mantenha corretos os seus dados públicos de roteamento, e coordene com outros operadores.

Não é um padrão nem um protocolo, e sim um conjunto publicado de compromissos com lista de participantes, o que o torna instrumento reputacional tanto quanto técnico. E esse é o ponto - a maioria dos incidentes de roteamento vem de um operador não fazer uma de quatro coisas sem glamour, e mudança de protocolo nenhuma consegue obrigá-lo. Quando se pergunta a uma rede por que ela aceitou um anúncio impossível, a resposta quase sempre é que filtrar não era tarefa explícita de ninguém.

O MANRS se descreve como uma iniciativa global, apoiada pela Global Cyber Alliance e financiada em parte por uma doação de cinco anos da Internet Society. Para operadores de rede, o texto normativo é o documento de ações MANRS-003.01 (17 de maio de 2021), cujo escopo é informação de roteamento incorreta, tráfego com endereços de origem forjados e coordenação entre redes.

O documento gradua suas ações. Obrigatórias: anunciar às redes adjacentes só os números de AS e os prefixes que o operador ou seus clientes estão legitimamente autorizados a originar; manter os contatos atualizados na base do RIR ou NIR ou no PeeringDB; e documentar publicamente os anúncios pretendidos no registro de roteamento do RIR, no RADB ou num Internet Routing Registry (IRR) espelhado no RADB. Recomendadas: validação de endereço de origem para a própria infraestrutura, os usuários finais e os clientes stub single-homed, e uma ROA válida para cada prefix que ele origina. O anti-spoofing, que a página About lista entre as ações sem graduá-las, é recomendação no texto normativo.

O documento também avisa que filtrar anúncios de clientes só com filtros de AS path é insuficiente para evitar problemas catastróficos de roteamento em nível sistêmico. Depois do leak da Verizon e da DQE em 24 de junho de 2019, a Cloudflare escreveu que as defesas que sugeria, limites de prefixes, filtragem por IRR e RPKI, estavam condensadas no MANRS.

Também conhecido como: routing security norms, prefix filtering, anti-spoofing

Fontes

← Todos os verbetes do glossário